В среду, 22 октября 2026 года, владельцы десятков тысяч веб-сайтов по всему миру получили предупреждения от хостинг-провайдеров о двух критических уязвимостях, обнаруженных в языке программирования PHP, на котором работает примерно 70% всех сайтов в интернете. Провайдеры уже внедрили временные меры для снижения рисков, но подчеркнули, что окончательное решение — установка патчей, выпущенных разработчиками PHP накануне вечером. Обновления требуются как на серверном уровне, так и непосредственно для самого PHP.
Как сообщает AFP, уязвимости были обнаружены ещё в августе с помощью передовых моделей искусственного интеллекта, разработанных американскими компаниями OpenAI и Google. Информация держалась в секрете до момента выпуска исправлений. Компания по кибербезопасности Calif выявила бреши в ходе аудита кода PHP, финансировавшегося OpenAI. В организации назвали находку «одними из самых значительных за последние годы» и отметили, что они «открывают новую фазу, в которой ИИ способен находить ошибки безопасности с влиянием на весь интернет».
По данным Агентства национальной безопасности США, уязвимости «часто обеспечивают прямой доступ к файловой системе или базе данных сервера», что потенциально позволяет злоумышленникам захватить контроль над сервером без пароля. Из-за этого многие компании и правительства по всему миру превентивно отключили свои сайты. Как пояснил Димитриос Салампасис из Технологического университета Суинберна в Австралии, отключение не обязательно означает взлом — это может быть ответственной мерой защиты на время установки обновлений. Он добавил, что исследователи пока не обнаружили активных атак с использованием этих техник.
После публичного раскрытия информации облачная компания Cloudflare зафиксировала миллионы попыток эксплуатации уязвимостей, о чём в соцсети X сообщил её генеральный директор Мэттью Принс. «Проблема с такими инструментами, как ИИ, в том, что как только вся информация становится публичной, люди могут использовать её как оружие с чрезвычайной скоростью, — заявил AFP Стив Керрисон, профессор кибербезопасности в сингапурском кампусе Университета Джеймса Кука. — Поэтому все действуют так срочно».
Крупные институции — от госорганов до СМИ — смогут обновить свои сайты относительно быстро. Однако, предупреждает Керрисон, «некоторые сайты, системы и пользователи не будут иметь ни малейшего понятия о происходящем и останутся в неведении дни, недели или даже месяцы». Речь идёт прежде всего о частных блогах и небольших ресурсах, которые могут быть использованы для распространения вирусов, спама и вредоносного контента. Кроме того, из-за сложной взаимосвязанности онлайн-систем с интерфейсами третьих сторон некоторые уязвимости могут сохраняться даже после устранения первоначальной проблемы: как подчеркнул Рахат Масуд, профессор кибербезопасности Университета Нового Южного Уэльса в Сиднее, «даже если патчи установлены… вы всё равно остаётесь уязвимы», если сторонние интерфейсы используют PHP.